手机恶意程序的危害

手机恶意程序的危害

0android恶意程序的安全性评价智能手机应用的普及和深入，不仅为用户提供了舒适的体验，而且还受到了先进技术的影响，各种手机恶意软件的侵犯。Android作为新兴的智能手机平台,目前国内外对其安全性方面的研究并不多,且大多侧重于系统级安全或检测恶意程序,没有对恶意行为采取有效措施。沈俊等1积极响应系统的分析、设计和实现1.1服务器检测。在下一步选择时,系统内确定了可疑程序信息,并根据初该系统采用客户端-服务器端模式,客户端在智能手机设备终端运行,主要负责获取手机中用户安装的应用程序信息,并根据异常检测的结果对应用程序做出初步判断,将不确定的可疑程序信息发往服务器端,并且根据最终结果选择采取合适的主动响应措施。服务器端是一个运行在计算机终端的java工程,主要负责接收客户端的请求信息,并对信息中的可执行文件进行静态分析,将分析结果反馈给客户端。系统的总体结构框架如图1所示,主要模块有:客户端的初始化、操作权限判定、行为匹配、通信、主动响应、用户界面等模块,服务器端的通信、反编译dex文件以及静态分析文件等模块。1.2系统的开发和环境系统的客户端实验是基于Android2.2系统的Samsung系列智能手机,使用IBM公司开发的eclipse集成开发环境。1.3oid手机上恶意程序行为分析对一些典型病毒的行为规律进行分析、归纳和总结,把Android手机上的恶意程序行为分为3个主要方面:开机自启动功能、后台运行、具有自发通信行为。分析这3方面,构建恶意程序行为库,定义为一个表,包含3项:序号、恶意行为和操作权限。1.4)可疑程序,即表1表2。单节点并持续创建表1为每个模块定义相应实现类,在初始化中创建数据库及相应的数据表,获取用户安装的应用程序信息(程序名、安装目录、包名等),将信息依次存入到已经创建的表中,这些应用程序被初步判定为可疑程序。在主动响应中根据前面模块最终判定结果中的恶意程序信息及异常行为恶意等级采取对应的响应措施,包括发出警告、终止程序进程、卸载应用程序、删除程序安装文件等。1.5最终分析结果在文件的静态分析中,通过将dex文件中的调用函数与已经实现的正常程序调用函数库及异常行为调用函数库进行对比,给出最终的分析结果。首先利用Android应用程序的开发环境SDK中提供的解析dex格式文件的工具dexdump将应用程序dex格式的可执行文件反编译为可读的txt格式,再根据Android可执行文件读取出所调用的系统函数,最后采用判定算法得出结果。2该系统的主要技术(1)恶意程序行为分类结合Android系统中permission所对应的功能以及一些典型恶意程序的行为特征将应用程序发生的行为分为若干典型的类别,构建恶意程序行为库。(2)可执行文件静态分析采用Android应用程序的开发环境SDK中提供的反编译工具dexdump获取dex文件的信息,即对dex文件进行静态分析,保证分析可行的前提下得到正确的分析结果。(3)异常行为检测针对该系统数据的特殊性提出了一个新的判定算法,命名为C-BM算法(C表示classify,B表示benign,M表示malicious),算法步骤描述:(1)查询异常行为调用函数库中对应的函数,程序中是否含有该函数,是则进入步骤(2),否则判定该程序为正常程序;(2)behavior对应的函数数目是否只有一个,是则进入步骤(3),否则判定该程序异常;(3)根据程序中的调用函数从正常程序调用函数库得到函数的percent值,计数percent值大于10的函数数目,该数目是否大于25,是则判定该程序为正常,否则判定其为异常程序。3系统测试为了验证该系统的性能,针对运行环境设计了2个测试实验。(1)模拟恶意程序客户端设备上运行恶意程序sendSms。sendSms是一个android平台上具有开机自启动权限、后台自动发短信行为的模拟恶意程序。在SamsungS5830手机上安装完Android入侵响应系统后运行sendSms程序,测试结果如图2所示,系统能够成功对恶意程序做出响应,通过打印日志可以得出从检测出异常到做出响应的时间为0.463s。(2)android入侵检测测试结果客户端设备上无恶意程序运行,而假设IDSA检测的结果是发现异常行为。在SamsungS5830手机上安装完Android入侵响应系统后对Android入侵检测系统的检测结果给出一个假定值,测试结果如图3所示,系统能够判断出手机上没有恶意程序运行,而得出的从检测出异常到做出响应的时间为0.115s。4检测主动响应在移动终端技术迅速发展的背景之下,And